Begriffe aus KI, Software und EU-Digitalrecht, kurz erklärt.

Eine Datenplattform, die zwei Welten verbindet: Wie in einem Data Lake liegen die Daten in offenen Datei- und Tabellenformaten auf preiswertem Objektspeicher, und darüber kommen Fähigkeiten eines Data Warehouse wie Transaktionen, Schemata, Zugriffskontrolle und SQL. Offene Tabellenformate wie Apache Iceberg oder Delta Lake machen das möglich.

Ein Datenbestand, den man wie ein Produkt pflegt. Er hat eine verantwortliche Person, ein dokumentiertes Schema, veröffentlichte Qualitätswerte, klare Zugriffsregeln und feste Aktualisierungszeiten, damit andere Teams ihn nutzen können, ohne seine Entstehung erfragen zu müssen.

Ein KI-System wird planmäßig an einem Referenzsatz aus Fragen oder Dokumenten geprüft, nach vorher vereinbarten Kriterien wie Richtigkeit, Quellentreue, Vollständigkeit und der Fähigkeit, bei Unwissen abzulehnen. Das geschieht vor dem Livegang und nach jeder Änderung an Modell, Prompt oder Datenbasis.

Ein neuronales Netz, das mit gewaltigen Textmengen gelernt hat, das jeweils nächste Wort vorherzusagen. Damit kann es Texte entwerfen, kürzen, klassifizieren und auswerten, auf Deutsch, Französisch, Englisch und in vielen weiteren Sprachen. Eine Faktendatenbank ist es nicht: Fehlt der Bezug zu Ihren eigenen Quellen, entstehen leicht flüssig formulierte, aber falsche Antworten.

Eine Antwort der KI, die sicher klingt, für die es aber weder in den Quellen noch in den Fakten eine Grundlage gibt. Ganz vermeiden lässt sie sich nicht, wohl aber eindämmen: durch Antworten aus gefundenen Quellen, Quellenpflicht, ein erlaubtes „weiß ich nicht“ und eine Quote, die in der Evaluierung gemessen wird.

Ein Mensch sieht sich das Ergebnis der KI an und korrigiert oder bestätigt es, bevor es Wirkung entfaltet. Bei Hochrisiko-KI fordert die KI-Verordnung genau das: eine wirksame Aufsicht durch Menschen, die das nötige Wissen und die Befugnis zum Eingreifen haben.

Dokumente wie Formulare, Rechnungen, Bescheinigungen oder eingescannte Briefe werden gelesen, eingeordnet und ausgewertet. Dafür arbeiten Texterkennung, Layoutanalyse und Sprachmodelle zusammen. Zu jedem ausgelesenen Wert gibt es einen Konfidenzwert, und alles unterhalb der Schwelle landet zur Prüfung bei einem Menschen.

Gemeint ist Software, die ein Sprachmodell nutzt, um auf ein Ziel hinzuarbeiten: Sie plant Schritte und führt sie aus, schlägt etwa einen Datensatz nach, füllt ein Formular oder ruft eine API auf. Was sie darf, bestimmen die ihr zugeteilten Rechte und Werkzeuge; jeder Schritt kann aufgezeichnet werden.

Schutzmechanismen um ein Sprachmodell, damit es nur im vereinbarten Rahmen eingesetzt wird. Dazu zählen Prüfungen von Eingaben und Ausgaben, Themengrenzen, das Schwärzen personenbezogener Daten, eine Rechteprüfung vor jedem Werkzeugaufruf und Freigaben vor Aktionen mit Folgen.

Alles, was Systeme mit maschinellem Lernen oder Sprachmodellen im Echtbetrieb stabil hält: versionierte Modelle, Prompts und Daten, automatische Evaluierung, Pipelines für die Auslieferung und laufende Überwachung von Qualität, Kosten und Latenz.

Zuerst sucht das System in freigegebenen Quellen nach passenden Stellen, zum Beispiel in internen Verfahren, Richtlinien, CSSF-Rundschreiben oder Dossiers. Erst dann antwortet das Sprachmodell, und zwar nur auf dieser Grundlage. Die Antwort kann Dokument und Abschnitt nennen, und schon bei der Suche gelten die Zugriffsrechte der fragenden Person.

Hier zählt die Bedeutung, nicht der exakte Wortlaut. Texte werden zu Zahlenvektoren (Embeddings) umgerechnet, und gesucht werden Passagen, deren Vektoren nahe an der Frage liegen. In der Praxis kommt meist eine Stichwortsuche hinzu, denn Codes, Namen und Artikelnummern müssen exakt gefunden werden.

Bei diesem Vorgehen steht die Schnittstelle am Anfang. Sie wird entworfen und abgestimmt, meist als Spezifikation in OpenAPI oder AsyncAPI, und die Umsetzung folgt danach. Partner, Frontends und andere Systeme greifen dann über dokumentierte und versionierte APIs zu, nicht direkt auf die Datenbank.

Eine Cloud-Umgebung, die schon fertig eingerichtet ist, bevor die erste Anwendung einzieht: Konten- oder Abonnementstruktur, Identitäten, Netzwerk, Richtlinien, Protokollierung und Sicherheitsbasis. Spätere Projekte starten dadurch schneller, und die Kontrollen sind überall gleich.

Unter diesem Namen fasst die IEC die Normen IEC 61970, IEC 61968 und IEC 62325 zusammen. Sie beschreiben Stromnetze, Betriebsmittel und Marktkommunikation in einem gemeinsamen Datenmodell, sodass Planung, Netzbetrieb und Marktsysteme bei Netzbetreibern dieselbe Sprache sprechen.

Das digitale Gegenstück einer Anlage, eines Prozesses oder eines Netzes, laufend mit Daten aus der realen Welt abgeglichen. Man nutzt es, um den Zustand zu verfolgen, Änderungen vorab durchzuspielen und Wartung zu planen. Fehlen die laufenden Daten, ist ein 3D-Modell noch kein Zwilling.

Systeme melden Ereignisse, also Tatsachen wie „Antrag eingegangen“ oder „Zählerstand geprüft“, an einen Broker; andere Systeme greifen sie auf, wann es für sie passt. Weil die Systeme dadurch lose gekoppelt sind, kann eines geändert werden oder ausfallen, während die übrigen weiterlaufen.

Offener Datenstandard für Building Information Modeling (BIM), herausgegeben von buildingSMART und zugleich ISO 16739-1. Mit IFC 4.3 kamen Schiene, Straße, Häfen, Wasserwege und Brücken hinzu, sodass Anlagendaten von der Planung über den Bau bis in den Betrieb wandern, ohne dass jemand sie neu eintippt.

Eine Plattform aus der Cloud, die alles für Integrationen an einem Ort bündelt: vorgefertigte Konnektoren, Datenmapping, Orchestrierung und Monitoring. Bekannte Beispiele sind SAP Integration Suite und MuleSoft.

Ein maschinenlesbares Verzeichnis aller Komponenten und Abhängigkeiten einer Software, in der Regel als SPDX oder CycloneDX. Damit sieht man rasch, ob eine frisch bekannt gewordene Schwachstelle das eigene Produkt trifft. Nach dem Cyber Resilience Act müssen Hersteller eine solche Liste führen.

Cloud-Angebote, bei denen Datenort, Betrieb und anwendbares Recht in europäischer oder nationaler Hand bleiben. Was genau darunter fällt, ist nicht einheitlich geregelt; nationale Programme wie SecNumCloud in Frankreich verlangen etwa ausdrücklich Schutz vor dem Zugriff außereuropäischen Rechts.

So wird ein Altsystem nach und nach ersetzt: Eine Fassade kommt davor, eine Funktion nach der anderen wandert in neue Dienste dahinter, und wenn keine Anfrage mehr beim alten System ankommt, wird es stillgelegt. Eine einzelne riskante Großumstellung bleibt aus.

Ein Muster aus der Industrie: Ein zentraler Event-Broker kennt den aktuellen Zustand des Werks, sortiert nach Standort, Bereich, Linie und Maschine. Statt sich paarweise zu verbinden, veröffentlichen die Systeme dort ihre Daten und abonnieren, was sie brauchen.

Niemand bekommt Vertrauen geschenkt, nur weil er sich im richtigen Netz befindet, weder Nutzer noch Gerät noch Dienst. Jede Anfrage wird authentifiziert, autorisiert und nach Identität, Zustand des Geräts und Kontext beurteilt, und der Zugriff bleibt auf das beschränkt, was die Aufgabe erfordert.

Das IT-Zentrum des luxemburgischen Staates, auf Deutsch „Zentrum für Informationstechnologien des Staates“. Es betreibt die IT der Verwaltung sowie Guichet.lu und MyGuichet.lu und untersteht dem Ministerium für Digitalisierung.

Die Finanzaufsicht für Banken, Investmentfonds und Zahlungsinstitute in Luxemburg. Gemeinsam mit dem Commissariat aux Assurances (CAA) für Versicherer ist sie die zuständige Behörde für DORA; schwerwiegende IKT-Vorfälle melden die von ihr beaufsichtigten Unternehmen nach dem Rundschreiben CSSF 25/893 über ihr eDesk.

Mit dieser Verordnung legt die EU Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, ob Hardware oder Software, sobald sie auf den Binnenmarkt kommen. Hersteller kümmern sich während des Unterstützungszeitraums um Schwachstellen und melden aktiv ausgenutzte seit dem 11. September 2026; der Großteil der Pflichten folgt ab dem 11. Dezember 2027.

Die EU-Regeln für einen fairen Zugang zu Daten, anwendbar seit dem 12. September 2025. Wer ein vernetztes Produkt nutzt, erhält Zugriff auf dessen Daten; der Wechsel zwischen Cloud- und Datenverarbeitungsdiensten wird einfacher, und missbräuchliche Vertragsklauseln zur Datenweitergabe werden eingeschränkt.

Seit dem 25. Mai 2018 regelt die DSGVO, wie personenbezogene Daten in der EU verarbeitet werden dürfen. Sie verankert Grundsätze wie Zweckbindung und Datenminimierung, gibt den Betroffenen Rechte und verpflichtet Verantwortliche wie Auftragsverarbeiter, bei riskanten Verarbeitungen etwa zu einer Folgenabschätzung. Zuständige Aufsicht in Luxemburg ist die CNPD (Commission nationale pour la protection des données).

Seit dem 17. Januar 2025 regelt diese EU-Verordnung, wie widerstandsfähig der Finanzsektor digital sein muss. Es geht um IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und die Steuerung von IKT-Drittdienstleistern bis hin zu Pflichtinhalten in Verträgen und einem Informationsregister. In Luxemburg beaufsichtigen CSSF und CAA die Einhaltung.

Nach dem geänderten Gesetz vom 16. Mai 2019 senden seit dem 18. März 2023 alle Wirtschaftsteilnehmer Rechnungen zu öffentlichen Aufträgen und Konzessionen in Luxemburg strukturiert, unabhängig vom Betrag; große Unternehmen schon seit dem 18. Mai 2022. Zulässig sind nur Peppol oder MyGuichet.lu, nicht die E-Mail. Angenommen werden unter anderem Peppol BIS Billing 3.0 und XRechnung.

Eine App nach der überarbeiteten eIDAS-Verordnung, in der man Identitätsdaten und Nachweise wie Diplome oder Genehmigungen ablegt, gezielt nur das Nötige an einen Dienst weitergibt und Dokumente unterschreibt. Jeder Mitgliedstaat stellt mindestens eine solche Wallet bereit, und zahlreiche öffentliche wie private Dienste werden sie akzeptieren müssen.

Mit dieser Richtlinie verlangt die EU, dass bestimmte Produkte und Dienste für Menschen mit Behinderungen nutzbar sind: Onlineshops, Bankdienste für Privatkundschaft, E-Books, aber auch Websites, Apps und elektronische Tickets im Personenverkehr. Seit dem 28. Juni 2025 gilt sie über nationales Recht, in Luxemburg über das geänderte Gesetz vom 8. März 2023; die Marktüberwachung liegt beim OSAPS.

Der grenzüberschreitende Raum aus Luxemburg und den angrenzenden Gebieten in Deutschland, Frankreich und Belgien, in dem viele Menschen täglich über eine Grenze zur Arbeit fahren. Für IT-Systeme bedeutet das häufig mehrere Sprachen, mehrere Sozialsysteme und unterschiedliche Rechnungsformate auf beiden Seiten der Grenze.

Normenreihe für die Sicherheit industrieller Automatisierungs- und Leittechnik. Eine Anlage wird in Zonen aufgeteilt, die über Conduits miteinander verbunden sind; dazu kommen Sicherheitsstufen und eine klare Verteilung der Pflichten auf Betreiber, Integratoren und Hersteller von Komponenten.

Die Regulierungsbehörde für elektronische Kommunikation, Energie, Post, Schiene und Flugsicherung. Nach dem NIS2-Gesetz vom 5. Mai 2026 ist sie für die meisten Sektoren zuständig und betreibt das Portal, über das sich Einrichtungen registrieren.

Diese EU-Verordnung soll öffentliche Dienste über Grenzen hinweg zusammenarbeiten lassen. Wer transeuropäische digitale Dienste neu einführt oder ändert, bewertet die Folgen für die Interoperabilität; passende Lösungen lassen sich über ein gemeinsames Portal teilen und wiederverwenden.

Internationale Norm für Managementsysteme der Informationssicherheit. Eine Zertifizierung belegt, dass ein auditiertes System besteht, mit dem Sicherheitsrisiken erkannt, passende Kontrollen gewählt und diese fortlaufend verbessert werden. FromNine ist nach ISO/IEC 27001 zertifiziert.

Das KI-Recht der EU teilt Systeme nach ihrem Risiko ein. Bestimmte Praktiken sind untersagt, Hochrisiko-Systeme müssen Vorgaben zu Daten, Dokumentation, menschlicher Aufsicht und Genauigkeit erfüllen, und manche Systeme unterliegen Transparenzpflichten. Seit dem 2. Februar 2025 greifen die Verbote, seit dem 2. August 2026 die Transparenzpflichten; die Pflichten für Hochrisiko-Systeme aus Anhang III gelten nach der Änderung von 2026 ab dem 2. Dezember 2027. Die nationale Zuständigkeit soll in Luxemburg der Gesetzentwurf Nr. 8476 regeln, der noch nicht verabschiedet ist.

Das Gesetz vom 5. Mai 2026 (loi du 5 mai 2026), veröffentlicht im Amtsblatt Mémorial A 225 und seit dem 10. Mai 2026 in Kraft, setzt die NIS2-Richtlinie in Luxemburg um. Für die meisten Sektoren, darunter Energie, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung, ist das ILR zuständig; wesentliche und wichtige Einrichtungen melden Vorfälle binnen 24 Stunden.

Der geschützte Bereich von Guichet.lu, über den Bürgerinnen, Bürger und Unternehmen Verfahren der luxemburgischen Verwaltung online erledigen. Die Anmeldung ist mit Produkten von LuxTrust, dem luxemburgischen eID-Ausweis und notifizierten eIDAS-Mitteln aus anderen EU- und EWR-Staaten möglich; mit eIDAS-Mitteln lassen sich manche Verfahren nicht signieren. Auch E-Rechnungen an öffentliche Auftraggeber können darüber eingereicht werden.

Richtlinie der EU für die Cybersicherheit wesentlicher und wichtiger Einrichtungen, etwa in Energie, Verkehr, Gesundheit, digitaler Infrastruktur und öffentlicher Verwaltung. Gefordert sind Risikomanagement, eine sichere Lieferkette und Meldungen bei Vorfällen, zuerst als Frühwarnung innerhalb von 24 Stunden, dann als Meldung innerhalb von 72 Stunden. Umgesetzt wird sie national: in Luxemburg durch das Gesetz vom 5. Mai 2026, mit dem ILR als Behörde für die meisten Sektoren.

Über dieses System, eingerichtet nach der Verordnung über das einheitliche digitale Zugangstor, tauschen Behörden in der EU amtliche Nachweise über Grenzen hinweg aus, wenn eine Person oder ein Unternehmen das ausdrücklich verlangt. Dokumente, die einer Verwaltung schon vorliegen, muss dann niemand erneut einreichen. Die Pflichten gelten seit dem 12. Dezember 2023.

Ein internationales Netzwerk samt Spezifikationen, über das strukturierte Geschäftsdokumente wie Rechnungen oder Bestellungen zwischen zertifizierten Zugangspunkten laufen. In Luxemburg müssen seit dem 18. März 2023 alle Wirtschaftsteilnehmer Rechnungen zu öffentlichen Aufträgen strukturiert übermitteln, und zwar nur über Peppol oder MyGuichet.lu; neben Peppol BIS Billing 3.0 wird auch XRechnung akzeptiert.

Richtlinie der EU, die kritische Einrichtungen in elf Sektoren physisch und organisatorisch widerstandsfähiger machen soll, unter anderem in Energie, Verkehr, Gesundheit, Trinkwasser und digitaler Infrastruktur. Bis zum 17. Juli 2026 hatten die Mitgliedstaaten ihre kritischen Einrichtungen zu ermitteln; diese bewerten dann Risiken und setzen Resilienzmaßnahmen um.

W3C-Richtlinien für barrierefreie Inhalte im Web, gegliedert in Erfolgskriterien auf den Stufen A, AA und AAA. In Gesetzen und Ausschreibungen gilt meist AA als Ziel; aktuell ist Version 2.2. Die europäische Norm EN 301 549 baut darauf auf, und auf diese Norm stützen sich in Luxemburg wiederum RAWeb und RAAM.